حسابات الخدمة

تُعد هذه الميزة جزءًا من خطتي Enterprise وEnterprise Plus.

حسابات الخدمة هي هويات مملوكة للمنظمة مصممة للوصول البرمجي إلى موارد منطمتك، مثل خطوط CI/CD، وسكربتات الأتمتة، والتكاملات الخلفية. على عكس حساب العضو الشخصي، لا يرتبط حساب الخدمة بشخص محدد: فهو ملك للمنظمة ويُدار من قبل مسؤوليها.

بما أن حساب الخدمة منفصل عن أي فرد، فإنه يُبقي سير العمل الآلي يعمل حتى مع انضمام أشخاص إلى المنظمة أو مغادرتهم لها، كما يتيح لك تحديد نطاق الاعتمادات وتدويرها دون التأثير على الرموز الشخصية لأي عضو.

إنشاء حساب خدمة

بصفتك مسؤولًا في المؤسسة، انتقل إلى قسم Service Accounts في إعدادات مؤسستك لإنشاء حسابات الخدمة وإدارتها.

عند إنشاء حساب خدمة، تقوم بتوفير:

• اسم name لتحديد حساب الخدمة.
• وصف اختياري description لتوثيق الغرض من استخدام حساب الخدمة.

لا تملك حسابات الخدمة كلمة مرور ولا يمكن تسجيل الدخول إليها تفاعليًا — بل تُستخدَم حصريًا عبر رموز الوصول التي تُصدرها لها. وعلى عكس المستخدمين العاديين، لا تملك هذه الحسابات صفحة ملف شخصي على HF، ولا تُدرَج ضمن قائمة أعضاء المنظمة، ولا تُدار إلا من خلال إعدادات Service Accounts.

إدارة رموز الوصول

يُعرَّف وصول حساب الخدمة إلى مؤسستك بالكامل من خلال رموز الوصول الدقيقة التي تصدرها له. ولكل رمز، تختار اسمًا ومجموعة من الأذونات الدقيقة، مما يتيح لك منح الوصول الذي يحتاجه سير عمل معين فقط.

يمكن منح الصلاحيات على مستويين:

• على مستوى المنظمة — تطبيق إذن (مثل الوصول للقراءة أو الكتابة إلى محتويات المستودع) عبر جميع المستودعات في المنظمة.
• لكل مستودع — تحديد نطاق الوصول للقراءة أو الكتابة للمستودعات المحددة فقط. ابحث عن المستودعات التي يجب أن ينطبق عليها الرمز واخترها، ثم حدد الأذونات التي تريد منحها. يجب أن تكون المستودعات المحددة مملوكة للمنظمة أو عامة.

يتيح لك ذلك إصدار رموز وصول محدودة النطاق — على سبيل المثال، رمز يمكنه فقط قراءة مستودع نموذج واحد — بدلاً من منح الوصول إلى المنظمة بأكملها.

من صفحة حساب الخدمة، يمكن للمشرفين:

• أنشئ رمز وصول جديدًا مع اسم محدد وصلاحيات دقيقة.
• تحديث اسم أو صلاحيات رمز موجود.
• تدوير الرمز لاستبداله بقيمة جديدة. يتوقف الرمز السابق عن العمل فورًا، وهو أمر مفيد إذا كان من الممكن أن يكون تم كشف بيانات الاعتماد.
• احذف الرمز لإلغاء وصوله بشكل دائم.

يُعرض رمز الوصول مرة واحدة فقط، عند إنشائه أو تدويره. احفظه بأمان — فلا يمكن استرجاعه لاحقًا. إذا فقدته، فقم بتدوير الرمز لتوليد قيمة جديدة.

إنشاء بيانات اعتماد S3

يمكن استخدام رموز حساب الخدمة للوصول إلى Storage Buckets الخاصة بمنظمتك عبر S3-compatible API. يقوم البوابة بالمصادقة باستخدام مفاتيح وصول بنمط AWS مشتقة من رمز حساب الخدمة.

1. انتقل إلى صفحة حساب الخدمة. أنشئ رمزًا باستخدام زر إنشاء رمز جديد إذا لم يكن لديك رمز بالفعل. تصبح صلاحيات الرمز هي صلاحيات بيانات اعتماد S3.

2. ابحث عن الرمز في القائمة، ثم افتح قائمة الاختيارات المنسدلة الخاصة به واختر Generate S3 credentials.

   

3. انسخ معرّف مفتاح الوصول (المسبوق بـHFAK…) ومفتاح الوصول السري في مكان آمن — يُعرض المفتاح السري مرة واحدة فقط. إذا فقدته، استخدم إبطال بيانات اعتماد S3 وتحديثها لتوليد زوج جديد. يتوقف مفتاح الوصول السابق عن العمل فورًا.

ترث بيانات اعتماد S3 أذونات رمز الوصول الأساسي. حدّد نطاق الرمز ليقتصر على الأوعية التي تنوي استخدامها فقط.

استخدم إلغاء اعتمادات S3 لتعطيل الزوج دون حذف الرمز — فحذف الرمز (أو حساب الخدمة) يلغي اعتمادات S3 الخاصة به أيضًا. يعرض صفحة حساب الخدمة معرّف مفتاح الوصول الحالي المزدوج مع كل رمز.

استخدم اسم مؤسستك كـ <namespace> في عنوان URL الخاص بالنهاية (انظر إعداد العميل). يتم تسجيل إنشاء صلاحيات S3 وإبطالها في سجلات التدقيق الخاصة بالمؤسسة.

إذا كان الرمز معفى من أمان الشبكة مفعّلًا، فيمكن لمسؤولي المنظمة فقط توليد بيانات اعتماد S3 له.

استثناء أمن الشبكة

تُعد هذه الخطة جزءًا من خطة Enterprise Plus.

إذا كانت مؤسستك تستخدم إعدادات Network Security، فإن رموز حسابات الخدمة تخضع لها مثل أي بيانات اعتماد أخرى: فهي تعمل فقط من نطاقات عناوين IP الخاصة بمؤسستك، وتطبق سياسة الوصول إلى المحتوى على ما يمكنها الوصول إليه.

تعمل بعض سير العمل الآلية خارج شبكة مؤسستك — على سبيل المثال، مهمة CI تستضيفها جهة تقديم خدمات سحابية. في تلك الحالات، يمكنك إعفاء رمز فردي من تطبيق سياسة الأمان الشبكي الخاصة بمنظمتك باستخدام خيار تجاوز قيود عناوين IP وسياسة الوصول إلى المحتوى في نموذج الرمز.

عند التفعيل:

• يعمل الرمز من أي عنوان IP، حتى عندما يكون تقييد وصول المنظمة إلى نطاقات IP الخاصة بك فقط مفعلاً.
• يمكن للرمز الوصول إلى محتوى كانت سياسة الوصول إلى المحتوى الخاصة بمنظمتك ستحظره في حال عدم وجوده.
• لا تنطبق الإعفاء إلا على إعدادات الأمان الشبكي الخاصة بمنظمتك. ولا تتجاوز أبدًا سياسة منظمة أخرى.
• يُذكر الرمز مع شارة لا توجد قيود على عنوان IP في صفحة حساب الخدمة.
• تدوير الرمز يحافظ على الإعفاء.

لا يمكن إلا لمسؤولي المنظمة تفعيل الإعفاء أو تدوير رمز مصادقة معفى بالفعل.

بما أن الرمز المعفى لم يعد محميًا بواسطة محيط شبكتك، يصبح الرمز نفسه هو المصادقة الوحيدة التي تحمي الموارد التي يمكنه الوصول إليها. ننصح بتقييد نطاقه على أصغر مجموعة ممكنة من المستودعات، ومنح أذونات القراءة فقط عندما يكون ذلك كافيًا، وتدويره بانتظام.

الفوترة

لا تُحتسب حسابات الخدمة كأعضاء قابلين للفوترة في مؤسستك، لذا فإن إنشائها لا يستهلك مقعدًا مدفوعًا في خطتك.

Update on GitHub